В стандартной схеме измерения метрик (MTTD, MTTR, время триажа) есть слепая зона: интервал между запросом на подтверждение действия и получением ответа.

Типовая цепочка: аналитик подтвердил инцидент, определил меру (изоляция хоста, блокировка учётной записи, отключение сегмента), но право на её применение требует согласования с владельцем актива. Запрос уходит по почте, хотя даже и телефон в субботу в 3 часа ночи тоже не все берут. Дальше возможны два варианта, и оба плохие. Если таймер MTTR продолжает идти, время ожидания прячется внутри метрики — за медленное реагирование отвечает команда SOC, которая в этот момент ничего не может сделать. Если тикет переводится в статус ожидания, и мы это не считаем, интервал может выпасть из отчётности вообще. В обоих случаях время согласования нигде не выделяется и никому не принадлежит, хотя именно в этот период атакующий продолжает работать в инфраструктуре.

Я измеряю его отдельно: от отправки запроса на подтверждение до получения ответа. Накопленная статистика используется в трёх задачах: - аргументация при разговоре с руководством. «Потеряно N часов на согласованиях» — понятная бизнесу величина; - пересмотр матрицы полномочий. По ряду сценариев действия делегированы SOC заранее: изоляция хоста при подтверждённых признаках компрометации выполняется без согласования, уведомление — постфактум; - смена канала. Почта не подходит для реагирования. Установлен SLA на подтверждение, при его превышении — эскалация по телефону на дежурного ЛПР.

Отдельный эффект: метрика показала, что плейбуки корректны технически, но не обеспечены организационно. Причина задержек — не в отсутствии процедур, а в том, что заранее не определено, кто уполномочен принять решение, в том числе в нерабочее время.

Время реагирования — величина организационная, а не только техническая. MTTR, рассчитанный по активной работе SOC, не вполне отражает реальную длительность инцидента.

Вопрос к коллегам: учитываете ли вы время согласований в метриках реагирования и как у вас решён вопрос полномочий на изоляцию в нерабочее время? Особенно на критичных процессах, например в сегменте АСУТП?